رصد Top-Secured السيبراني: تحليل مستقل يستند إلى المصادر المذكورة أدناه. Top-Secured غير تابعة للشركات المذكورة ولن تطلب منك أبدًا بياناتك المصرفية أو كلمات مرورك.
أصلحت Vates ثغرة حرجة في Xen Orchestra، واجهة الويب لإدارة خوادم XCP-ng، وأعلنت أنها تُستغلّ بالفعل. يكفي ملف تعريف ارتباط مُعدّ خصيصًا لانتحال صفة مستخدم موجود، عادةً مسؤول، دون كلمة مرور. تعالج الإصداران 6.9.2 و6.10.1 الثغرة، ويجب أيضًا فحص الواجهات المكشوفة بحثًا عن اختراق.
ماذا حدث
في 10 نوفمبر 2026 نشرت الشركة الفرنسية Vates، مطوّرة Xen Orchestra وXCP-ng، النشرة الأمنية VSA-2026-062 المصنّفة حرجة، وأكدت أن الثغرة تُستغلّ بشكل نشط. ولم يكن لها عند النشر معرّف CVE ولا درجة CVSS. وصدرت الإصدارات المصحّحة في اليوم نفسه.
يقع الخلل في آلية المصادقة لواجهة REST البرمجية. فملف تعريف ارتباط يحمل رمزًا على شكل كائن فارغ مُعدّ خصيصًا، بدلًا من سلسلة نصية، يصل دون تحقق إلى عملية البحث عن الرموز. فتعيد هذه العملية أول رمز صالح مخزّن في Xen Orchestra، ويُعامَل الطلب كأنه صادر عن صاحب ذلك الرمز. وبعدها يستطيع المهاجم عرض رموز دخول قابلة لإعادة الاستخدام والتصرف بصلاحيات المسؤول. ويرفض التصحيح المدمج في GitHub أي رمز ليس سلسلة نصية غير فارغة.
من المعرّض للخطر
جميع تثبيتات Xen Orchestra السابقة للإصدار 6.9.2 (قناة stable) و6.10.1 (قناة latest)، سواء كانت جهاز XOA الجاهز أو نسخة مبنية من الشيفرة المصدرية. وبحسب Vates، قد تؤدي السيطرة على الواجهة إلى تنفيذ شيفرة على مجموعات الخوادم المُدارة وإلى صلاحيات root على خوادم XCP-ng. والواجهات المتاحة من الإنترنت هي الأكثر عرضة.
ما العمل الآن
- حدّثوا: XOA إلى 6.9.2 (stable) أو 6.10.1 (latest)، أي xo-server 5.211.2 أو 5.213.1؛ وبالنسبة إلى التثبيت من الشيفرة المصدرية، إلى آخر commit في
masterثم أعيدوا البناء. - أبعدوا الواجهة عن الإنترنت: شبكة إدارة مخصصة أو VPN فقط.
- طبّقوا التصفية: احظروا عناوين IP وعنوان Tor الواردة في النشرة، وعلى الوكيل العكسي احظروا الطلبات التي يبدأ فيها ملف تعريف الارتباط
authenticationTokenبـj:. وتحذّر Vates من أن ترميزات أخرى قد تتجاوز قاعدة كهذه. - ابحثوا عن آثار: الهجوم الناجح لا يترك أي سجل في سجل المصادقة. ابحثوا عن آلة افتراضية باسم
pivot2، ثم شغّلوا على كل خادم XCP-ng الأوامرxe vm-list params=name-label,platform | grep -B1 'hvm_serial: file'وzgrep -- '-serial file:' /var/log/xensource.log*وls -la /etc/ld.so.preload /.ustar* /etc/cron.d/zz-ustar*. - عند ثبوت الاختراق: غيّروا كل الأسرار المعروفة للمنصة (حسابات root، سر المجموعة، وجهات النسخ الاحتياطي، الوكلاء، المستخدمون، أسرار OTP، خادم البريد)، وكما توصي Vates أعيدوا التثبيت بدلًا من التنظيف.
رأينا
واجهة إدارة hypervisor تملك مفاتيح كل الآلات الافتراضية: إنها أكثر خوادم الشركة حساسية، ولا مكان لها على الإنترنت. والتحديث وحده لا يكفي هذه المرة: فبما أن الهجوم لا يترك أثرًا لتسجيل الدخول، وحده فحص الخوادم يكشف إن كان أحد قد دخل بالفعل.
المصادر
- Vates — VSA-2026-062: Empty-object login token
- GitHub (vatesfr/xen-orchestra) — fix(xo-server): validate authentication token IDs, PR #10748
- The Hacker News — Hackers Exploit Critical Xen Orchestra Auth Bypass Flaw to Gain Admin Access
كيف نختار تحليلاتنا ونتحقق منها ونكتبها ←
هل خادمك مكشوف؟ أجرِ فحصًا مجانيًا — معلومات عامة فقط، دون اختراق:
هل تخشون أن تكون خوادمكم مكشوفة؟ يقوم فريقنا بتدقيق البنى التحتية Linux والسحابية وتحديثها ومراقبتها على مدار الساعة.
تحدّث إلى خبير خدماتنا لإدارة الخوادم ←
